Golpe da clonagem de WhatsApp: como acontece e como se proteger

Seu pai, sua mãe ou seu melhor amigo manda mensagem no WhatsApp pedindo Pix urgente. A conversa parece normal — foto de perfil, histórico de mensagens, tom familiar. Só que quem está do outro lado não é a pessoa: é um golpista que tomou a conta dela minutos atrás.

A clonagem de WhatsApp é um dos golpes que mais assustam no Brasil porque converte confiança em prejuízo. A vítima financeira costuma ser quem manda o dinheiro. A vítima da invasão é quem perdeu o número. Muitas vezes, os dois papéis se misturam na mesma família em menos de uma hora. Este guia explica como o ataque funciona, como se proteger antes que aconteça e o que fazer se você ou alguém próximo já foi atingido.

Para o panorama completo das fraudes no mensageiro, consulte golpes no WhatsApp. Para o detalhe do código que inicia quase todo ataque, leia código de 6 dígitos: nunca repasse.

O que é clonagem de WhatsApp — e o que não é

Clonar WhatsApp, na prática, significa o golpista conseguir registrar sua conta no aparelho dele e usá-la como se fosse você. Ele não precisa "copiar seu chip" como muita gente imagina — embora exista o golpe de SIM swap (troca fraudulenta do cartão SIM na operadora), o roteiro dominante no Brasil é mais simples: engenharia social com o código de verificação.

Quando alguém instala o WhatsApp com seu número, o sistema envia SMS ou ligação com seis dígitos para provar que quem está ativando tem acesso ao chip. O golpista inicia esse processo no celular dele. O SMS chega no seu telefone. Se você repassa os seis dígitos — por mensagem, áudio ou foto da tela — ele conclui o cadastro e assume sua identidade digital naquele app.

O CERT.br, centro de tratamento de incidentes de segurança no Brasil, documenta esse padrão em alertas recorrentes sobre golpes de engenharia social em mensageiros. A Polícia Civil de São Paulo, por meio da DEIC, e unidades de crimes cibernéticos no Rio de Janeiro, Minas Gerais e Pernambuco registram operações que desmantelam quadrilhas especializadas em account takeover — tomada de conta — com prejuízos que chegam a milhões de reais somando pequenas transferências.

Clonagem x conta comprometida x SIM swap

| Situação | O que acontece | Sinal típico | |----------|----------------|--------------| | Clonagem por código SMS | Golpista registra seu número em outro aparelho | SMS de verificação sem você ter reinstalado o app | | Conta em dispositivo vinculado | Alguém escaneou QR Code do WhatsApp Web sem você saber | Aparelho desconhecido em Dispositivos vinculados | | SIM swap | Criminoso duplica seu chip na operadora | Celular perde sinal de rede de repente |

Saber a diferença ajuda na recuperação. Clonagem por código resolve, na maioria dos casos, reinstalando o app e confirmando o SMS no seu chip. SIM swap exige acionar a operadora com urgência.

Como funciona o golpe do código de 6 dígitos

Esse é o roteiro mais comum em 2025 e 2026. Entender cada etapa desarma a pressão emocional quando a mensagem chegar.

Etapa 1: abordagem

Alguém entra em contato se passando por:

• Suporte do WhatsApp ou Meta
• Operadora pedindo "confirmação de linha"
• Promoção falsa ou sorteio
• Conhecido com "problema no número novo"
• Recrutador de falso emprego

Etapa 2: desculpa para o código

Dizem que vão enviar um código e que você deve repassar. As histórias variam:

• "É para confirmar que seu número não será cancelado"
• "É para liberar atualização de segurança"
• "É para participar do sorteio do grupo"
• "É para eu recuperar minha conta, me ajuda rapidinho"

Etapa 3: o SMS chega no SEU celular

O WhatsApp dispara verificação porque o golpista está tentando registrar seu número no aparelho dele. O SMS não é para a pessoa que pediu — é prova de que o ataque está em andamento.

Etapa 4: você repassa o código

Se você manda os seis dígitos, o golpista entra. Em minutos, sua agenda recebe pedidos de Pix. Em Campinas, relatos analisados em denúncias ao Desconfiei mostram prejuízo de R$ 4.800 em menos de duas horas — três irmãos transferiram para a conta clonada da irmã acreditando em mensagens de "emergência no hospital".

Regra simples: nunca compartilhe o código de 6 dígitos do WhatsApp com ninguém. Nem familiar, nem empresa, nem suporte. O WhatsApp não pede isso por mensagem.

O que golpistas fazem depois de clonar

Criminosos agem rápido porque sabem que a janela de oportunidade fecha quando a vítima percebe ou recupera a conta.

Pedidos de Pix para contatos próximos. Mensagens curtas: "estou sem acesso ao banco", "preciso pagar fornecedor", "carro quebrou na estrada". Valores entre R$ 200 e R$ 2.000 costumam ser testados primeiro.

Broadcast "mudei de número". Mensagem em massa para toda agenda anunciando novo telefone — na verdade, número do golpista. Detalhamos em golpe mudei de número.

Captação em cadeia. Usando sua conta clonada para pedir código a outros contatos — cada vítima vira vetor de ataque.

Links em grupos. Se você administra grupo de condomínio, igreja ou trabalho, divulgam phishing ou golpes de investimento.

Tentativa de acesso a outros serviços. Conversas salvas podem revelar bancos, e-mails ou códigos de outros apps.

Quanto mais tempo permanecem na conta, mais pessoas alcançam usando o seu nome e foto.

Como saber se seu WhatsApp foi clonado

Fique em alerta máximo se notar um ou mais destes sinais:

• [ ] Notificação de que WhatsApp foi registrado em outro dispositivo
• [ ] Você foi deslogado sem motivo aparente
• [ ] Amigos perguntam se foi você quem pediu Pix
• [ ] Conversas enviadas que você não escreveu
• [ ] Foto ou nome do perfil alterados
• [ ] SMS de verificação sem você ter reinstalado o app
• [ ] Dispositivo desconhecido em Configurações → Dispositivos vinculados

Se vários contatos perguntarem "foi você que pediu dinheiro?", trate como emergência — mesmo que seu app ainda abra normalmente. Golpistas às vezes mantêm a vítima conectada por um tempo enquanto aplicam golpes na agenda.

O que fazer imediatamente se foi clonado

Velocidade define o tamanho do dano. Siga este roteiro na ordem.

1. Tente recuperar a conta no seu celular

Abra ou reinstale o WhatsApp, confirme seu número e digite o código SMS que você receber. Isso pode derrubar a sessão do golpista. Faça isso antes de qualquer outra coisa.

2. Revise dispositivos vinculados

Em Configurações → Dispositivos vinculados, encerre todas as sessões que não reconhecer — inclusive WhatsApp Web aberto em computador desconhecido.

3. Ative verificação em duas etapas

Vá em Configurações → Conta → Verificação em duas etapas. Defina PIN de seis dígitos e e-mail de recuperação. Guia completo em verificação em duas etapas no WhatsApp.

4. Avise contatos por canal alternativo

Não espere recuperar o WhatsApp para alertar. Ligue, mande Instagram ou e-mail:

"Minha conta do WhatsApp foi clonada. NÃO enviem Pix nem códigos para mensagens vindas do meu número nas próximas horas. Qualquer pedido de dinheiro: liguem para [seu telefone] antes de transferir."

Peça para familiares repassarem em grupos. Quanto mais gente souber, menos cai.

5. Registre boletim de ocorrência

A delegacia digital do seu estado aceita crimes cibernéticos online na maioria dos casos. Guarde prints das mensagens enviadas pelo golpista, números e chaves Pix usadas.

6. Denuncie

Denuncie números no próprio WhatsApp e registre no Desconfiei. Se parentes transferiram, oriente-os a acionar o banco imediatamente.

Para o passo a passo detalhado de recuperação, consulte WhatsApp clonado: passo a passo e cai em golpe de WhatsApp.

Como avisar contatos da forma certa

"Mudei de número" vago ou "fui hackeado" sem instrução clara não protege ninguém. Seja específico:

• "Não sou eu pedindo Pix — ignore mensagens de hoje"
• "Não vou pedir código de verificação por WhatsApp"
• "Liguem para [número antigo] se tiverem qualquer dúvida"
• "Ignore links que eu mandei nas últimas [X] horas"

Se você administra grupos grandes, peça a um administrador de confiança para postar o aviso enquanto recupera a conta. MEIs e lojistas devem avisar clientes pelo Instagram ou e-mail comercial para não perder credibilidade com cobranças falsas.

Recuperação quando o golpista complicou o acesso

Se o criminoso ativou verificação em duas etapas na sua conta após clonar, a recuperação fica mais difícil — por isso a prevenção com PIN antes do ataque é crucial.

Cenário A — Você já tinha 2FA ativo antes do golpe: Ao reinstalar, o app pedirá seu PIN. O golpista não consegue alterá-lo sem conhecê-lo.

Cenário B — Golpista ativou 2FA após invadir: O app pode pedir o PIN deles. Opções: aguardar período de segurança de sete dias para redefinir (regra do WhatsApp) ou usar e-mail de recuperação se você tinha cadastrado antes.

Cenário C — SIM swap: Celular sem sinal + WhatsApp inacessível. Ligue para a operadora imediatamente, bloqueie a linha e registre B.O.

Nunca pague "serviço de recuperação" de terceiros no Instagram ou Telegram. Golpe em cima de golpe é frequente.

Proteção: verificação em duas etapas passo a passo

A barreira mais eficaz contra clonagem por código SMS:

1. Abra o WhatsApp
2. Configurações → Conta → Verificação em duas etapas
3. Toque em Ativar
4. Crie PIN de seis dígitos — não use data de nascimento ou sequência óbvia
5. Cadastre e-mail de recuperação que só você acessa
6. Anote o PIN em lugar seguro offline (não no WhatsApp)

Com isso ativo, mesmo que alguém obtenha o código SMS, não entra sem o PIN.

Outras camadas de proteção

• Bloqueio de tela forte no celular (biometria + senha)
• Não instalar WhatsApp GB, Plus ou mods não oficiais
• Revisar dispositivos vinculados semanalmente se você é alvo frequente
• Ensinar pais e avós: "código é como chave de casa — não empresta"
• Desconfiar de links que prometem "tema exclusivo" ou "ver quem visitou seu perfil"

E se um contato pedir Pix?

Antes de transferir para qualquer pessoa — especialmente contato salvo — faça o teste de confiança:

1. Ligue para o número que você tinha salvo antes da conversa suspeita
2. Pergunte algo só aquela pessoa saberia (apelido antigo, evento recente presencial)
3. Desconfie de urgência, pedido para não contar a ninguém e "microfone quebrado"
4. Analise a mensagem na ferramenta WhatsApp suspeito do Desconfiei

Ver nome e foto no WhatsApp desliga o desconfiar. Golpistas exploram exatamente esse reflexo. A solução não é parar de confiar — é combinar confiança com confirmação por ligação.

Por que esse golpe funciona tão bem no Brasil

Três fatores explicam a escala:

Pix instantâneo. Dinheiro sai em segundos; golpista esvazia conta laranja antes da vítima ligar para o parente real.

WhatsApp como infraestrutura social. Grupos de família, condomínio e trabalho concentram decisões informais. Controlar uma conta é acessar uma rede de confiança.

Normalização do favor rápido. "Me manda o código aí" parece inofensivo até você entender o mecanismo.

Campanhas de prevenção que usam linguagem simples — "código nunca sai do celular" — têm melhor adesão entre idosos do que explicações técnicas sobre criptografia, segundo relatos de delegacias do interior de Minas Gerais e da Bahia.

Mitos que mantêm o golpe vivo

"Só repasso se for familiar." Familiares têm contas clonadas para explorar essa confiança.

"Meu WhatsApp não tem dinheiro, não tem risco." O ativo é sua agenda, não seu saldo.

"Uso WhatsApp Business, é diferente." O fluxo de verificação é idêntico; lojas perdem credibilidade com cobranças falsas.

"Se eu não mandar, prejudico alguém." Quem pressiona com culpa em contexto de código SMS está manipulando.

Clonagem em números corporativos e MEI

Pequenos negócios que atendem clientes pelo WhatsApp Business são alvos crescentes. Um bar em Salvador perdeu a conta em 2025 após funcionário repassar código para "suporte técnico" que prometia selo verificado. Em duas horas, clientes receberam cobranças falsas de delivery com chave Pix de terceiro — prejuízo de reputação além do financeiro.

Se você usa WhatsApp para vender, combine com equipe: ninguém repassa código, pedidos de pagamento fora do fluxo habitual são confirmados por telefone comercial fixo. Publique nos Status da loja que cobranças oficiais só vêm do número já conhecido pelos clientes.

O que fazer quando contatos perguntam se foi você

Se amigos receberam pedido de Pix em seu nome e ligam para confirmar, agradeça — eles fizeram o certo. Explique que sua conta foi comprometida, que você não pediu dinheiro e que devem bloquear mensagens suspeitas vindas do seu número até você avisar que recuperou o acesso.

Se alguém da sua lista já transferiu:

• Oriente a ligar para o banco imediatamente e citar o MED
• Indique registro de B.O. na delegacia digital
• Forneça evidências: horário em que percebeu a clonagem, prints do que foi enviado em seu nome

Você não é responsável penal pelo golpe, mas pode acelerar a recuperação de terceiros com transparência e rapidez no aviso público — Status, grupos de família, Instagram.

Tendências de 2026: evolução do golpe de clonagem

Três variações que monitoramos no Desconfiei:

Ligação com voz sintética pedindo código em nome de operadora ou banco — não apenas texto no WhatsApp. O antídoto permanece: código SMS não sai do celular; desligue e ligue você para o número oficial se tiver dúvida real sobre a linha.

Clonagem relâmpago: golpista entra de manhã, dispara Pix para dezenas de contatos até meio-dia e abandona a conta. Janela de ação é curta; por isso aviso imediato aos contatos salva mais dinheiro do que recuperação tardia.

"Suporte WhatsApp Premium": cobrança falsa de assinatura com pedido de código para "ativar". O WhatsApp não cobra assinatura por mensagem nem solicita código de verificação em conversa.

Ficar atento a variações sem abandonar a regra base protege mais do que qualquer app de segurança isolado.

O papel das autoridades

O CERT.br publica materiais sobre golpes digitais e orienta preservação de evidências. A Polícia Civil — incluindo DEIC/SP, DRCI/RJ e unidades estaduais de repressão a crimes cibernéticos — investiga quadrilhas de clonagem com base em B.O., extratos e números reportados.

Registrar ocorrência mesmo sem prejuízo financeiro ajuda estatísticas e investigações. A delegacia digital do seu estado costuma ser o caminho mais rápido.

Leituras e ferramentas relacionadas

Artigos relacionados

• Código de 6 dígitos do WhatsApp: por que nunca repassar
• Verificação em duas etapas no WhatsApp: guia completo
• WhatsApp clonado: passo a passo para recuperar
• Golpe mudei de número no WhatsApp
• Golpes no WhatsApp: guia completo

Golpes parecidos na biblioteca

• Clonagem de WhatsApp

Perguntas frequentes

O que significa clonar WhatsApp na prática?

É o criminoso registrar sua conta no aparelho dele usando o código SMS de verificação que chega no seu celular. Com acesso à conta, ele fala com sua agenda como se fosse você — pedindo Pix, códigos ou divulgando links falsos.

Preciso trocar de chip para recuperar conta clonada?

Na maioria dos casos, não. Basta reinstalar o WhatsApp no seu celular, confirmar o número e digitar o código SMS que chegar no seu chip. Isso pode derrubar a sessão do golpista. Troque de chip só se a operadora confirmar SIM swap.

Verificação em duas etapas impede a clonagem?

Sim, na prática mais comum. Mesmo que o golpista obtenha o código SMS, precisará do PIN de seis dígitos que só você define.

Como avisar contatos que minha conta foi clonada?

Use canal alternativo antes de recuperar o WhatsApp. Seja direto: não sou eu pedindo Pix, ignore mensagens recentes, ligue para meu número antigo se tiver dúvida.

Golpista ativou verificação em duas etapas na minha conta. E agora?

O WhatsApp pode pedir o PIN do criminoso ou iniciar período de espera de sete dias. Use e-mail de recuperação se cadastrou antes do ataque. Nunca pague serviços de desbloqueio de terceiros.

Vale registrar B.O. por clonagem sem prejuízo financeiro?

Sim. Documenta o incidente, alimenta estatísticas da Polícia Civil e pode ser necessário em disputas futuras.

Como proteger parentes que caem fácil no golpe?

Ensine: código de SMS nunca sai do celular. Configure verificação em duas etapas junto com eles. Combine ligação de confirmação para Pix acima de valor combinado.

Conclusão: clonagem é prevenível

A clonagem de WhatsApp não é falha misteriosa do aplicativo — é quase sempre código repassado ou PIN fraco. Com verificação em duas etapas e hábito de ligar antes de Pix, você reduz drasticamente o risco. Se já aconteceu, recuperação rápida e aviso à agenda limitam o prejuízo dos seus contatos. Consulte o hub golpes WhatsApp para artigos relacionados e a ferramenta WhatsApp suspeito para analisar mensagens duvidosas.